В Ubuntu 20.10 планируют перейти с iptables на nftables
Автор
Сообщение
news_bot ®
Стаж: 6 лет 9 месяцев
Сообщений: 27286
Следом за Fedora и Debian разработчики Ubuntu рассматривают возможность перехода на использование по умолчанию пакетного фильтра nftables.
Для сохранения обратной совместимости предлагается использовать пакет iptables-nft, предлагающий утилиты с тем же синтаксисом командной строки, как и в iptables, но транслирующий полученные правила в байткод nf_tables. Изменение планируется включить в состав осенного выпуска Ubuntu 20.10.
Это вторая попытка перехода Ubuntu на nftables. Первая попытка была предпринята в прошлом году, но была отклонена из-за несовместимости с LXD. Теперь в LXD уже имеется встроенная поддержка nftables и он может работать с новым бэкендом для фильтрации пакетов. Для пользователей, которым недостаточно прослойки для обеспечения совместимости, оставлена возможность установки классических утилит iptables, ip6tables, arptables и ebtables со старым бэкендом.
Напомним, что в пакетном фильтре nftables унифицированы интерфейсы фильтрации пакетов для IPv4, IPv6, ARP и сетевых мостов. В пакет nftables входят компоненты пакетного фильтра, работающие в пространстве пользователя, в то время как на уровне ядра работу обеспечивает подсистема nf_tables, входящая в состав ядра Linux начиная с выпуска 3.13. На уровне ядра предоставляется лишь общий интерфейс, не зависящий от конкретного протокола и предоставляющий базовые функции извлечения данных из пакетов, выполнения операций с данными и управления потоком.
Непосредственно правила фильтрации и специфичные для протоколов обработчики компилируются в байткод в пространстве пользователя, после чего данный байткод загружается в ядро при помощи интерфейса Netlink и выполняется в ядре в специальной виртуальной машине, напоминающей BPF (Berkeley Packet Filters). Подобный подход позволяет значительно сократить размер кода фильтрации, работающего на уровне ядра и вынести все функции разбора правил и логики работы с протоколами в пространство пользователя.
===========
Источник:
OpenNet.RU
===========
Похожие новости
- Главная ссылка к новости (https://lists.ubuntu.com/archi...)
- OpenNews: Выпуск пакетного фильтра nftables 0.9.5
- OpenNews: Для ядра Linux предложен новый пакетный фильтр bpfilter
- OpenNews: Релиз Linux-дистрибутива Fedora 32
- OpenNews: В Debian 11 предлагается по умолчанию задействовать nftables и firewalld
- OpenNews: Релиз iptables 1.6.0
Похожие новости:
- [Настройка Linux, *nix, Разработка под Linux] Using kconfig for own projects
- LTS-выпуски Ubuntu 18.04.5 и 16.04.7
- Выпуск KDE Neon на базе Ubuntu 20.04
- [Настройка Linux, Разработка под Linux] Boot Ubuntu via http/ftp server with pxe(diskless boot)
- [Настройка Linux] Создание образа Ubuntu для ARM «from scratch»
- Из базовой поставки Ubuntu будет удалён компонент для отправки сведений о пакетах
- [DevOps, Настройка Linux] Используем nftables в Red Hat Enterprise Linux 8 (перевод)
- В Ubuntu 20.10 будет ограничен доступ к dmesg
- [Laravel, Nginx, PHP, Программирование, Разработка веб-сайтов] Деплой приложения на Laravel 7 на Ubuntu & Nginx
- Во все актуальные выпуски Ubuntu Server перенесена поддержка CPU AMD EPYC Rome
Теги для поиска: #_nftables, #_ubuntu
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 19:23
Часовой пояс: UTC + 5
| Автор | Сообщение |
|---|---|
|
news_bot ®
Стаж: 6 лет 9 месяцев |
|
|
Следом за Fedora и Debian разработчики Ubuntu рассматривают возможность перехода на использование по умолчанию пакетного фильтра nftables. Для сохранения обратной совместимости предлагается использовать пакет iptables-nft, предлагающий утилиты с тем же синтаксисом командной строки, как и в iptables, но транслирующий полученные правила в байткод nf_tables. Изменение планируется включить в состав осенного выпуска Ubuntu 20.10. Это вторая попытка перехода Ubuntu на nftables. Первая попытка была предпринята в прошлом году, но была отклонена из-за несовместимости с LXD. Теперь в LXD уже имеется встроенная поддержка nftables и он может работать с новым бэкендом для фильтрации пакетов. Для пользователей, которым недостаточно прослойки для обеспечения совместимости, оставлена возможность установки классических утилит iptables, ip6tables, arptables и ebtables со старым бэкендом. Напомним, что в пакетном фильтре nftables унифицированы интерфейсы фильтрации пакетов для IPv4, IPv6, ARP и сетевых мостов. В пакет nftables входят компоненты пакетного фильтра, работающие в пространстве пользователя, в то время как на уровне ядра работу обеспечивает подсистема nf_tables, входящая в состав ядра Linux начиная с выпуска 3.13. На уровне ядра предоставляется лишь общий интерфейс, не зависящий от конкретного протокола и предоставляющий базовые функции извлечения данных из пакетов, выполнения операций с данными и управления потоком. Непосредственно правила фильтрации и специфичные для протоколов обработчики компилируются в байткод в пространстве пользователя, после чего данный байткод загружается в ядро при помощи интерфейса Netlink и выполняется в ядре в специальной виртуальной машине, напоминающей BPF (Berkeley Packet Filters). Подобный подход позволяет значительно сократить размер кода фильтрации, работающего на уровне ядра и вынести все функции разбора правил и логики работы с протоколами в пространство пользователя. =========== Источник: OpenNet.RU =========== Похожие новости
|
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 19:23
Часовой пояс: UTC + 5